IPsec trafik seçicileri: neyi kapsar, neyi kapsamaz

Trafik seçicileri, bir IPsec anlaşmasının koruduğu iç trafiği adlandırır ve çift varsayılmak yerine müzakere edilir. İki uç nokta birbirini kusursuz doğrulayabilir ve yine de hangi paketlerin tünelin içine ait olduğu konusunda anlaşamayabilir. Bu anlaşmazlık, genellikle sağlıklı bir tünel bildiren bağlantı durumunda görünmez. Seçicileri iki uçtan okuyup ardından tek bir hedefi izlemek, onu herhangi bir ilke düzenlemesinden daha hızlı bulur.

Onları iki uçtan okuyun

Her uç nokta kendi tarafını yerel, diğer tarafı uzak olarak tanımlar. Bu yüzden aynı önek çifti iki yapılandırmada ters görünür ve bu doğrudur, çelişkili değildir. Bakış açısını ters çevirmek, çalışan bir anlaşma kâğıt üzerinde yanlış göründüğünde yapılacak ilk şeydir. İki dosyayı yerlerini değiştirmeden yan yana karşılaştırmak, var olmayan bir uyumsuzluk yaratır.

Değerler her zaman tek alt ağlar değildir. IKEv2 seçicileri adres aralıkları, protokol numaraları ve bağlantı noktası aralıkları taşıyabilir ve bir ilke bütün ağ yerine tek bir hizmeti böyle korur. Amaçlanan trafikten daha dar bir seçici, bazı hedefleri taşıyan ve diğerlerini sessizce dışlayan bir tünel üretir.

Herhangi bir şeyi değiştirmeden önce iki tarafı tek bir tabloya yazın. Bu alıştırma genellikle yapılandırma dosyasına dokunmadan soruyu çözer.

Daraltma, yanıtlayanın kararıdır

Başlatan taraf önerir ve yanıtlayan yalnızca bir alt küme kabul edebilir. IKEv2, yanıtlayanın sunulan trafik seçicilerini daraltmasına izin verir ve gerçekte kurulan, daraltılmış sonuçtur. Bu yüzden başlatanın yapılandırmasını okumak bir öneriyi anlatır, anlaşmayı değil.

Bu yüzden istemciye eklenen bir alt ağ, yeni hedefi yine de reddeden çalışan bir tünel üretebilir. Sunucu öneriyi ilkesinin izin verdiği kadar daralttı, oysa istemci dosyası hâlâ daha geniş aralığı listeliyor. Yalnızca müzakere edilmiş durum gerçeği gösterir: Linux’ta ip xfrm policy ve strongSwan’ın IKEv2 belgelerindeki child SA listesi, isteneni değil kurulanı bildirir. İkisi farklı düştüğünde değiştirilmesi gereken yanıtlayanın ilkesidir.

Reddedilen öneri, daraltılmış olandan farklı bir belirtidir. Ret, müzakere günlüğünde görünür ve hiçbir child ilişkisi bırakmaz.

Tek bir hedefi baştan sona izleyin

İstemcinin onun için kullanacağı gerçek hedefi ve kaynak adresi seçin, sonra bu çifti üç bağımsız karardan geçirin. Rota bir yol seçer, seçici o yolun korunup korunmadığına karar verir, güvenlik duvarı pakete izin verilip verilmediğine karar verir. Her biri tek başına başarısız olabilir ve geniş bir seçici diğerlerinin hiçbirini onarmaz.

ip route get 10.20.30.41
ip xfrm policy list
swanctl --list-sas

Rota sorgusu paketi taşıyacak arayüzü ve kaynak adresi adlandırır. İlke listesi, o çift için eşleşen bir tünel ilkesi olup olmadığını yönü ve düzeyiyle birlikte gösterir. SA listesi, müzakere edilmiş child seçicilerini sayaçlarla birlikte gösterir, bu yüzden trafik denendikten sonra sıfır paketli bir child ilişkisi, gönderileni dışlayan seçicilerin imzasıdır. Üç komut, üç farklı yanıt ve yalnızca biri sessiz bir düşüşü açıklar.

Uygulama hâlâ başarısızken child sayaçları hareket ediyorsa sorun tünelin ötesindedir. Bu, soruşturmayı seçicilere değil uzak ana bilgisayarın dinleyicisine veya güvenlik duvarına taşır.

İki hedefi ayrı tutun

Bir ofis alt ağını korumak ve tüm taramayı uzak bir çıkıştan göndermek, farklı seçicileri olan farklı gereksinimlerdir. Biri için kurulan profil diğerine nadiren uyar ve ikisini karıştırmak ya sızıntı ya da bozuk bölünme üretir. Korumalı aralığı genişletmek, iki uç noktayı ve onların iletim ilkesini değiştirmek demektir, çünkü tek taraflı bir değişiklik reddedilen bir öneriye dönüşür. Küçük bir düzenlemeden sonra çalışan bir tünelin çalışmayı bırakmasının en yaygın yolu budur.

Seçiciler kriptografik kapsamı tanımlar, rotalar yol seçer ve uygulamalar kendi izinlerini uygular. Her şeyi kapsayan bir tünel yine de loopback’e bağlı bir hizmete ulaşamaz ve tünele giden rotanın yine de hedefi içeren bir seçiciye ihtiyacı vardır. Üçünü de aynı sınama isteğine karşı denetleyin ve uyumsuzluk kendi adını söyler.